Dans le paysage numérique en constante évolution, le fondement de la communication sécurisée et de l'identité de confiance, l'infrastructure de clé publique (PKI) est poussée à ses limites.Comme les systèmes deviennent de plus en plus décentralisés, les charges de travail sont plus éphémères et les surfaces d'attaque sont plus dynamiques, les modèles PKI traditionnels se révèlent inadéquats pour les réalités des architectures de confiance zéro et de l'informatique basée sur les services. est un architecte logiciel dans le domaine de la cybersécurité avec plus de 17 ans d'expérience dans l'industrie, est membre de l'Institution of Electronics and Telecommunication Engineers (IETE), membre à part entière de Sigma Xi, membre senior de l'IEEE, ambassadeur de l'IEEE Day 2025, et est actuellement président de l'ACM Fremont Chapter, qui favorise la collaboration et le partage des connaissances entre les professionnels, les chercheurs et les étudiants de la région de la baie.Il est l'inventeur nommé de plusieurs brevets américains dans les domaines de la cryptographie, de la sécurité centrée sur l'identité et de la gestion automatique du cycle de vie des clés, son travail étant largement cité par les principales entreprises technologiques mondiales M. Rakesh Keshava M. Rakesh Keshava Il croit que l’avenir de la confiance numérique réside dans la modernisation de l’infrastructure de clé publique (PKI) pour s’aligner sur la vitesse, la granularité et les profils de risque dynamiques des systèmes d’aujourd’hui. Il prône que les PKI doivent évoluer pour devenir agiles, automatisés et conscients du contexte, capables de soutenir le cloud hybride, les architectures de confiance zéro et les écosystèmes numériques distribués. Rakesh souligne que les PKI ne devraient pas seulement protéger les actifs statiques, mais aussi sécuriser dynamiquement les identités éphémères, les charges de travail et la communication agent-agent dans les environnements modernes. The Breaking Point of Traditional PKI "Le PKI traditionnel n'a jamais été conçu pour fonctionner dans un monde où les charges de travail sont créées, évoluées et détruites en quelques minutes", explique M. Rakesh. "L'ancienne approche de l'émission manuelle de certificats de longue durée de vie et de leur stockage dans des endroits statiques ne peut tout simplement pas soutenir l'infrastructure d'aujourd'hui." Un signe clair de ce changement est la réduction de la validité des certificats imposée par les principaux fournisseurs de navigateurs. Les certificats TLS publics, valables une fois jusqu'à cinq ans, sont désormais limités à 398 jours, avec une pression croissante d'être plus courts. Cette tendance reflète une réalisation plus large de l'industrie: les créances de courte durée réduisent le risque de compromis et rendent la rotation automatisée une nécessité. Pour les PKI internes, le changement est encore plus dramatique.Les organisations expérimentent des certificats qui expirent en 24 heures ou moins.Cette approche renforce la posture de sécurité mais crée un défi opérationnel: les systèmes PKI héréditaires ne peuvent pas gérer le volume ou la vitesse de l'émission et du renouvellement à cette échelle. Zero Trust Starts with Identity and PKI Delivers It La confiance zéro, en tant que modèle, exige une vérification continue de l’identité, indépendamment de l’emplacement, du réseau ou des privilèges présumés. « Le PKI est le moteur derrière cette preuve », explique M. Rakesh. « Il permet une identité sécurisée, cryptographiquement vérifiable pour les acteurs humains et machines. Dans un contexte de confiance zéro, la confiance n’est pas établie en étant « à l’intérieur du pare-feu » ou sur un certain sous-réseau. Il est établi en affirmant cryptographiquement l’identité et c’est exactement ce qu’un certificat fait, lorsqu’il est émis en fonction de la politique en temps réel et du contexte d’utilisation. What Defines a Modern PKI M. Rakesh décrit plusieurs caractéristiques qui distinguent le PKI moderne de ses homologues héréditaires: Éphémère par conception : les certificats doivent avoir une durée de validité courte allant de quelques heures à un jour nécessitant une rotation régulière. Automatisation axée sur les politiques : les processus d’émission, de renouvellement et de révocation devraient être entièrement automatisés et contrôlés par des politiques commerciales et de sécurité, et non par une intervention manuelle ou une configuration statique. Les certificats ne devraient pas reposer sur des métadonnées réseau telles que les IP ou les noms DNS. Au lieu de cela, ils devraient être liés à des revendications d’identité fiables telles que les rôles de charge de travail, les comptes de service vérifiés ou les utilisateurs authentifiés. Observabilité et audibilité: L'activité des certificats doit être enregistrée, surveillée et auditable en temps réel, en particulier pour les systèmes à haute sensibilité. Évolutivité interdomaine : PKI devrait facilement supporter les charges de travail distribuées, dans plusieurs centres de données, environnements cloud et régions sans un seul point d’échec. Agilité cryptographique: L'infrastructure doit prendre en charge la cryptographie prouvée dans le futur, y compris un chemin de transition vers les algorithmes post-quantiques sans avoir besoin de nouveaux concepts complets. Where Modern PKI Adds Value Au-delà des services Web publics, le PKI moderne est désormais un actif stratégique dans la sécurisation des systèmes internes. Communication sécurisée entre services via des canaux cryptés avec validation mutuelle des certificats. Valider les appels API internes en utilisant des certificats signés plutôt que des jetons statiques. Assurer l’authenticité des versions logicielles et des fichiers de configuration internes. Création de tunnels cryptés entre régions ou environnements isolés. Émettre des certificats aux développeurs ou administrateurs pour un accès privilégié automatisé et conscient des rôles. « Dans tous ces cas, » note M. Rakesh, « les certificats servent de passeports numériques qui peuvent prouver, en toute sécurité et indépendamment, qui ou ce qu’est un système. Why Short-Lived Certificates Should Be the Default L'une des recommandations les plus fortes de M. Rakesh est d'adopter des certificats de courte durée de vie sur les systèmes internes. Au lieu de rouler les secrets manuellement ou de s'appuyer sur la confiance à long terme, les créances à court terme doivent être révalidées, appliquer l'hygiène et soutenir l'échelle dynamique. « Si un certificat ne dure que 12 heures, vous n’avez pas besoin de vous soucier des listes de révocation ou des clés expirées qui s’arrêtent pendant des mois, » dit-il. « Les certificats de courte durée rétablissent la limite de confiance en permanence et cela s’aligne sur les réalités des opérations modernes. » Il conseille de commencer par des durées de vie de 7 jours et de passer progressivement vers des expirations quotidiennes ou même horaires, combinées à un renouvellement automatique basé sur la politique et à l'application. Une feuille de route visuelle montrant l’évolution de PKI des certificats de longue durée à l’automatisation de courte durée et à la confiance agile entièrement modernisée. Le diagramme ci-dessus capture la progression stratégique de PKI de ses racines traditionnelles à un cadre de confiance moderne et dynamique adapté au paysage de sécurité d’aujourd’hui. À gauche, nous voyons le modèle Classic PKI, où les certificats sont de longue durée, émis manuellement et liés à des systèmes statiques tels que les serveurs ou les noms d’hôte. Ce modèle suppose un environnement stable et une faible fréquence d’émission qui ne sont plus valables dans les systèmes distribués. Au centre, la phase Modern PKI introduit des certificats de courte durée de vie et un renouvellement automatisé, passant de la confiance aux actifs statiques à la vérification en temps réel de l’identité. Cela conduit à la phase finale, la modernisation du PKI, où les décisions de confiance sont entièrement intégrées aux cycles de vie du système, aux politiques de sécurité et à l'agilité cryptographique. À ce stade, le PKI devient conscient du contexte, car les informations d'identification sont liées aux rôles de charge de travail, aux comptes de services et aux identités authentifiées au lieu des IP statiques ou des noms DNS. Il est audible et observable, avec une activité de certificat continuellement surveillée en temps réel. Il est évolutif sur les nuages et les régions, évitant les points de défaillance uniques tout en soutenant des environnements hybrides et multi-nuages. Dans cet état, la gestion des certificats n'est plus une tâche d'arrière-plan, mais une partie intégrante du tissu de sécurité.Il pose les bases de la confiance zéro en veillant à ce que chaque connexion, demande ou processus puisse être vérifié cryptographiquement à la demande. Common Pitfalls in PKI Modernization Malgré l’urgence, de nombreuses organisations tombent dans des pièges prévisibles lorsqu’elles tentent de moderniser leurs systèmes PKI. Traiter PKI comme un déploiement unique: De nombreuses équipes installent un CA et supposent que le travail est fait. Mais PKI n'est pas statique. Il doit évoluer continuellement des politiques mises à jour, des clés tournées, des volumes d'émission surveillés et des vulnérabilités atténuées. négliger l’intégration aux cycles de vie des systèmes : les certificats doivent être délivrés et révoqués en tandem avec les systèmes qu’ils sécurisent.Si un certificat survit au système auquel il a été délivré, il devient un risque. Absence de stratégie de révocation proactive: La révocation est souvent mal comprise ou retardée.Sans automatisation et une observation appropriée, les certificats expirés ou mal utilisés peuvent rester indétectables, en particulier dans les environnements internes. Algorithmes cryptographiques à codage dur: Construire des systèmes autour de primitifs fixes tels que RSA-2048 ou SHA-1 conduit à la rigidité et au risque. "Les normes crypto ne changent pas souvent", dit M. Rakesh, "mais quand ils le font, le coût de l'inflexibilité est énorme. A Practical Path to Modern PKI M. Rakesh souligne que la modernisation n’a pas besoin d’être écrasante, surtout si elle est faite en phases : Inventaire de l'utilisation des certificats existants sur les systèmes internes, les workflows et les API. Réduisez progressivement la durée de vie des certificats et mettez en œuvre des processus de renouvellement automatique qui ne reposent pas sur l’intervention manuelle. Liaison de l'émission à des politiques d'identité et de rôle, assurant que les informations d'identification ne sont délivrées qu'aux acteurs autorisés. Surveillez et auditez toutes les activités de certificat, y compris les demandes manquantes, les modèles d'utilisation inhabituels et les renouvellements. Planifiez pour la crypto-agilité et la migration post-quantum, même si seulement dans des environnements de test, pour prouver votre infrastructure. PKI n’est pas seulement une utilité de back-end ou une boîte de contrôle de conformité, mais un facteur essentiel de confiance dans l’écosystème numérique d’aujourd’hui. Comme les entreprises adoptent la confiance zéro, accélèrent la transformation numérique et sécurisent des systèmes de plus en plus complexes, la modernisation de PKI n’est plus facultative, elle est fondamentale. « La confiance en 2025 et au-delà dépendra des systèmes qui peuvent prouver qui ils sont, ce qu’ils sont autorisés à faire et s’ils le font en toute sécurité », conclut M. Rakesh. « Les points de vue et les opinions exprimés dans cet article sont exclusivement les miens et ne reflètent pas nécessairement ceux de toute organisation ou entité affiliée. »

This story contains new, firsthand information uncovered by the writer.

Cet audio est produit dans la langue originale de l'histoire !

Trop long; Pour lire

CTA: Download the FREE AI Productivity Shift report

Moderniser le PKI pour la confiance zéro et les microservices : les idées de Rakesh Keshava

About Author

COMMENTAIRES

ÉTIQUETTES

CET ARTICLE A ÉTÉ PARU DANS

Related Stories

Les couches invisibles : pourquoi les entretiens avec les utilisateurs sont un atout irremplaçable

Appuyez pour gagner : Telegram pourrait intégrer les 10 prochains milliards d'utilisateurs de crypto avant Solana

Libérer la puissance de l’IA. Une revue systématique des techniques de pointe : résumé et introduction

Créer des produits cryptographiques centrés sur l'utilisateur : l'importance des retours clients

Les couches invisibles : pourquoi les entretiens avec les utilisateurs sont un atout irremplaçable

Appuyez pour gagner : Telegram pourrait intégrer les 10 prochains milliards d'utilisateurs de crypto avant Solana

Libérer la puissance de l’IA. Une revue systématique des techniques de pointe : résumé et introduction

Créer des produits cryptographiques centrés sur l'utilisateur : l'importance des retours clients

Light-Mode

Classic

Newspaper

Dark-Mode

Neon Noir

Minty

HN StartUps